EU-domstolen har i mål C-487/21, Österreichische Datenschutzbehörde och CRIF, klargjort att rätten att erhålla en kopia av personuppgifter innebär att den registrerade ska förses med en exakt och begriplig återgivning av samtliga dessa uppgifter. Denna rätt innefattar rätten att få en kopia av utdrag ur handlingar eller till och med av hela handlingar eller utdrag ur databaser, vilka bland annat innehåller nämnda uppgifter, om detta är nödvändigt för att den registrerade ska kunna utöva sina rättigheter enligt dataskyddsförordningen (GDPR) på ett effektivt sätt
Av domen framgår bland annat att CRIF är ett kreditupplysningsföretag som på sina kunders begäran tillhandahåller uppgifter till ledning för bedömning av någon annans kreditvärdighet. CRIF behandlade i detta syfte personuppgifter som rör klaganden i det nationella målet, F.F., som är en fysisk person. F.F. begärde, med stöd av dataskyddsförordningen, att få tillgång till de personuppgifter som rörde honom. Han begärde dessutom att få en kopia av handlingarna, det vill säga e-postmeddelanden och utdrag ur databaser, vilka bland annat innehåller hans uppgifter, i ett tekniskt format som är allmänt använt.
Som svar på denna begäran översände CRIF, i sammanställd form, till F.F. en förteckning över de personuppgifter rörande honom som var under behandling. F.F. ansåg att CRIF borde ha översänt en kopia av samtliga handlingar som innehöll hans personuppgifter, såsom e-postmeddelanden och utdrag ur databaser, och lämnade därför in ett klagomål till Österreichische Datenschutzbehörde (DSB). DSB avslog klagomålet med motiveringen att CRIF inte hade åsidosatt F.F.:s rätt att få tillgång till sina personuppgifter.
Bundesverwaltungsgericht (BVerwG), till vilken F.F. överklagade DSB:s avslagsbeslut, vill få klarhet i räckvidden av skyldigheten i artikel 15.3 första meningen GDPR att förse den registrerade med en kopia av dennes personuppgifter som är under behandling. BVerwG vill särskilt få klarhet i huruvida denna skyldighet är uppfylld när den personuppgiftsansvarige lämnar ut personuppgifterna i form av en sammanställning eller om denna skyldighet även innebär att utdrag ur handlingar eller till och med av hela handlingar, samt utdrag ur databaser, i vilka dessa uppgifter återges, ska lämnas ut. Den hänskjutande domstolen vill dessutom få klargjort vad begreppet ”information” i artikel 15.3 tredje meningen GDPR exakt omfattar.
Genom sin dom klargör EU-domstolen innehållet i och omfattningen av den registrerades rätt att få tillgång till sinapersonuppgifter som är under behandling. Domstolen anser att rätten att från den personuppgiftsansvarige få en kopia av de personuppgifter som är under behandling enligt artikel 15.3 första meningen GDPR innebär att den registrerade ska ges en exakt och begriplig återgivning av samtliga dessa uppgifter. Denna rätt innefattar rätten att erhålla en kopia av utdrag ur handlingar eller till och med av hela handlingar eller utdrag ur databaser, vilka bland annat innehåller nämnda uppgifter, om tillhandahållandet av en sådan kopia är nödvändigt för att den registrerade ska kunna utöva sina rättigheter enligt dataskyddsförordningen på ett effektivt sätt, varvid andras fri- och rättigheter i detta hänseende ska beaktas. EU-domstolen slår även fast attbegreppet ”information” i artikel 15.3 tredje meningen GDPR uteslutande avser personuppgifter som den personuppgiftsansvarige ska tillhandahålla en kopia av i enlighet med första meningen i artikel 15.3 GDPR.